作業(yè)改編自真實的業(yè)務(wù)場景。
特別說明：為突出本次作業(yè)訓(xùn)練目標(biāo)并規(guī)避數(shù)據(jù)風(fēng)險瘾婿，所有數(shù)據(jù)均經(jīng)過處理蜻牢，并只保留了相關(guān)事件。
業(yè)務(wù)背景
共享單車潮汐效應(yīng)明顯偏陪，上班高峰期單車大多堆積在地鐵站抢呆，復(fù)用率不高；平臺運(yùn)力有限笛谦，難以緩解此趨勢抱虐。
為解決這種情況，某單車推出了「眾騎」活動饥脑，鼓勵有閑暇時間的用戶在早高峰期間反向騎行（也就是將車從地鐵站騎回居住社區(qū)等地）恳邀，希望緩解高峰期的單車供應(yīng)問題。
此任務(wù)的完成的計算方式是：在「高峰」時間段好啰，于指定地鐵站附近 100 米「解鎖活動車輛」轩娶；騎出地鐵站 500 米范圍后儿奶，「鎖定活動車輛」框往，即可完成〈成樱考慮到單車成本椰弊，車輛上并未配備 GPS 裝置许溅，「解鎖車輛」和「鎖定車輛」時，會收集手機(jī)上的地理位置信息作為判斷依據(jù)秉版。
每完成一次任務(wù)贤重，該用戶均可以得到平臺發(fā)放的紅包獎勵（1 - 20 元不等），以維持整個活動順利運(yùn)轉(zhuǎn)清焕。
活動上線后并蝗，紅包不斷被發(fā)放出去，越發(fā)越多秸妥；但從消費(fèi)者的角度來看滚停，早晚高峰的單車供應(yīng)并沒有顯著的改善。負(fù)責(zé)這個活動運(yùn)營的同事很納悶粥惧，明明有這么多人在努力搬運(yùn)键畴，為什么卻沒有效果？綜合多方面的信息突雪，部分同事已經(jīng)開始懷疑：活動多半是被羊毛黨光顧了起惕，但苦于沒有證據(jù)。
此時咏删，他們邀你出馬惹想。
作業(yè)要求
請觀察該活動從 10 月 10 日上線后，到 10 月 31 日的數(shù)據(jù)表現(xiàn)督函，給出你的分析結(jié)論勺馆。
推薦步驟：
觀察數(shù)據(jù)，找到異常用戶侨核，說明異常理由草穆，推測“作弊”手段。
判斷其是“團(tuán)伙作戰(zhàn)”還是“單打獨(dú)斗”搓译。如果是團(tuán)伙作戰(zhàn)悲柱，說明理由，并給出其行為模式（最好能給出基于當(dāng)前數(shù)據(jù)平臺篩選出這些用戶的條件）些己。
結(jié)合實際豌鸡，給出推薦的后續(xù)處置措施《伪辏基本原則是：盡量在不傷害現(xiàn)有用戶的情況下涯冠，減少公司損失，保障活動效果逼庞。
找異常用戶
分析思路：根據(jù)題目給的信息蛇更，用戶開鎖之后需要騎行超過500米范圍并關(guān)鎖成功才算完成，普通單車的速度最高約5米/秒，用戶至少騎行100秒之后關(guān)鎖才算正常派任，如果步行返回則需要約8-10分鐘砸逊，如果有同行朋友用單車或電瓶車將其帶回原地鐵站可以縮短間隔，但是5分鐘內(nèi)完成2次對正常用戶來說已經(jīng)是極限掌逛。
根據(jù)以上分析师逸，尋找異常用戶可以從3個方面入手
①活動期間獲得的紅包金額
②每天解鎖/鎖定單車的總次數(shù)
③短時間內(nèi)完成解鎖-鎖定單車的次數(shù)
事件分析-紅包金額
事件分析-解鎖單車次數(shù)
觀察此類用戶的行為特征
我們可以發(fā)現(xiàn)這兩個事件的前幾個ID都是一樣的，搜索其中幾個ID查看其行為可以發(fā)現(xiàn)他們的異常行為有：
①從解鎖單車到鎖定單車獲得紅包基本都在30s內(nèi)豆混，且在短期內(nèi)頻繁操作篓像；
②有些用戶同時解鎖2~4輛單車，且解鎖的地鐵站非同一個皿伺，解鎖的方式有掃碼有藍(lán)牙遗淳，
如下圖3所示，該用戶（ID309380）解鎖第一輛車用的是掃碼心傀，接下來用藍(lán)牙解鎖了三輛，地鐵站各不相同脂男；
③部分用戶掃碼使用的設(shè)備為iPad Air2，不太符合常理弃甥；
圖1↓
圖2↓
圖3↓
考慮到活動車輛沒有安裝GPS，僅依靠手機(jī)地理位置信息來判斷騎行是否達(dá)標(biāo)汁讼，而市面上有軟件可以達(dá)到修改手機(jī)定位的目的，因此推測羊毛黨的通用作弊手段為：通過軟件修改手機(jī)定位從而獲取紅包嘿架。
找到羊毛黨
高頻次羊毛黨
根據(jù)上述分析，這批異常用戶的共同特征是短時間內(nèi)高頻次解鎖-鎖定單車耸彪，可以通過漏斗分析來找到這批用戶伞芹。
①設(shè)定5分鐘內(nèi)完成3次活動的漏斗，并且限制每次鎖定行為的觸發(fā)條件為“紅包金額不等于0”蝉娜，以過濾掉連續(xù)掃到故障車的用戶，找到一批數(shù)量為745的羊毛黨用戶
②點(diǎn)開這745名用戶的用戶列表南缓，可以發(fā)現(xiàn)他們的ID是從309245到310000連續(xù)排列荧呐，推測為批量注冊纸镊；
③抽查其中部分用戶获雕，觀察他們使用的設(shè)備型號多樣届案，解鎖方式有掃碼有藍(lán)牙罢艾，說明有人在現(xiàn)場，操作手法非常相似咐蚯，通過修改手機(jī)定位短時間內(nèi)高頻次獲得紅包，同一個ID下可以連續(xù)用掃碼和藍(lán)牙解鎖的方式在不同的地鐵站解鎖兩輛甚至更多的單車矫膨，結(jié)合他們的ID高度連續(xù)的特點(diǎn)期奔，團(tuán)隊作戰(zhàn)的可能性更大。
另一批羊毛黨
①我在分布分析中觀察用戶在一天內(nèi)解鎖次數(shù)的趨勢時發(fā)現(xiàn)了一個異衬俪眨現(xiàn)象：從16號開始每天解鎖次數(shù)在1-19次的數(shù)量明顯增加罗晕，集中表現(xiàn)在5~10次
②在事件分析中觀察總體趨勢：從16號開始直到27號赠堵，用戶數(shù)量猛增
但是查看任意事件的人均次數(shù)卻發(fā)現(xiàn)在16-27號有明顯的下降茫叭，說明該期間確實有批量用戶加入，但是參與活動的次數(shù)并不多杂靶，造成了人均次數(shù)的下降梆惯，驗證了之前的想法
再觀察高頻次羊毛黨用戶的趨勢：在整個活動期間都有參與吗垮，16-27號期間沒有明顯的增長烁登，與大盤趨勢有出入，確定了這批非高頻次羊毛黨的存在
點(diǎn)擊16號當(dāng)天完成活動5-10次的325個用戶列表赌躺，將之前找到的高頻次羊毛黨排除，在剩下的用戶中尋找行為異常用戶掠归，可以發(fā)現(xiàn)這批羊毛黨的特征是肤粱，每天解鎖單車頻次、解鎖間隔與正常用戶無異庶骄，但是每次解鎖單車的地鐵站都不一樣瓢姻，一天內(nèi)出現(xiàn)在多個地鐵站幻碱，且很多ID還存在同時解鎖兩輛單車喇聊，借助高德平臺將某用戶某天解鎖單車的地理位置信息可視化誓篱，他的足跡遍布北京各個地方锦募，解鎖方式也是掃碼和藍(lán)牙并存糠亩。
考慮活動效果赎线，用戶并沒有覺得高峰用車問題得到緩解垂寥，所以推測這批羊毛黨也是用了修改定位的方式來獲得紅包砰蠢，并沒有真正搬運(yùn)車輛台舱。
找到這批低頻次羊毛黨用戶的方法
這批用戶的特點(diǎn)是一天內(nèi)變換多個地鐵站，考慮活動時間每天只有2個小時嗓奢，地鐵站之間的距離都不算太近股耽，用戶也不太可能特意乘坐交通工具去其他站點(diǎn)搬運(yùn)，因此我們認(rèn)為每天出現(xiàn)在3個及以上地鐵站的用戶有羊毛黨嫌疑。
可以利用分布分析設(shè)定閾值查看，16號開始到27號每天解鎖單車的地鐵站在3個以上的用戶猛增牡属，可以把幾天的ID導(dǎo)出排查换衬。
